Les Actualités RGPD du mois d'août 2025
Les principales actualités du mois
Nos experts en protection des données ont réalisé pour vous un condensé des actualités récentes dédiées aux risques numériques, en RGPD et en cybersécurité. Au sommaire de ce mois d’août 2025 :
- Entrée en application de l’IA Act sur les modèles d’IA à usage général.
- L’association MOUSSE contre SNCF Connect : Le conseil d’Etat annule la décision du CNIL.
- Comment se protéger des cyberattaques et vol d’IBAN ? La CNIL sensibilise.
- Reponse de WeTransfer sur ses CGU
- Retour sur les dernières cyber attaques
- Manquement RGPD par la police espagnole
1. Intelligence Artificielle : ce qui change après le 2 août 2025
Le 2 août 2025, les dispositions de l’IA Act, le réglementation européenne sur l'Intelligence Artificielle, concernant les modèles d’IA à usage général (GPAI) sont entrées en application. Ces dispositions définissent les responsabilités des acteurs dans le cadre de la fourniture et l’utilisation des outils d’IA générative (ChatGPT, Mistral, Copilot, Gemini…).
Désormais, les fournisseurs d’IA générative sont directement responsables des règles entrées en vigueur et soumis notamment à des obligations de transparence et gestion des risques. Par exemple, ils doivent élaborer et tenir à jour une documentation technique du modèle d’IA, mettre en place une politique visant à respecter le droit d’auteur et droits voisins et évaluer les risques pour les modèles d’IA qui présentent des risques systémiques (ceux qui ont une capacité très étendue et un fort impact).
En ce qui concerne les déployeurs de ces modèles d’IA, leurs responsabilités varient en fonction de l’usage (risque limité ou élevé). Dans tous les cas, ils sont soumis à une obligation de transparence vis-à-vis des personnes concernées.
L’application de l’IA Act est progressive. Des dispositions relatives aux IA à haut risque entreront en vigueur ultérieurement.
Comment être en conformité RGPD ?
2. Le Conseil d’Etat annule la décision de la CNIL : Association Mousse contre SNCF Connect
En 2021, la CNIL a rendu une décision précisant que la collecte de la civilité (M. et Mme) des clients lors de l’achat de billets, abonnements en ligne sur SNCF CONNECT ne constituait pas un manquement au principe de minimisation imposé par le RGPD. La CNIL a alors rejeté la demande de l’association MOUSSE contre cette pratique de la SNCF. Saisi de l’affaire, le Conseil d’Etat a interrogé la CJUE par le biais d’une question préjudicielle.
Ainsi, le Conseil d’État a jugé, le 31 juillet 2025, que la SNCF Connect ne pouvait pas imposer à ses clients de communiquer leur civilité. Selon la Haute Cour Administrative, la collecte de ces données n’empêche pas la vente de billets ou d’abonnements, ni le contrôle d’identité lors du voyage. Cette décision infirme donc la décision de la CNIL selon laquelle la collecte de la civilité des clients était nécessaire à l'exécution du contrat conclu entre la SNCF et ses clients ou pouvait se fonder sur l’intérêt légitime de l’entreprise ferroviaire. Il en ressort donc que la collecte de données relative à la civilité doit être facultative.
3. Fuite de données et vol d’IBAN : comment s’en protéger ?
A la suite de différentes fuites de données recensées en France ces derniers mois, la CNIL met en avant les risques encourus par les personnes (consommateurs, clients, usagers etc) et quelques bonnes pratiques pour s’en prémunir.
Les risques peuvent être variés et dépendent généralement de la nature des informations dérobées. Il s’agit généralement de l’exploitation frauduleuse d’IBAN, de l’usurpation d’identité ou de la fraude à la carte SIM basée sur le vol d’identité, du hameçonnage (phishing).
Pour se protéger au quotidien, vous pouvez renforcer votre sécurité numérique, notamment :
- Privilégier de mots de passe robustes et éviter l’utilisation d’un même mot de passe pour différents services
- Utiliser les authentifications multifacteurs
- Éviter de communiquer ses informations bancaires par téléphone ou sur des sites suspects
- Partager l'information au sujet des fuites de données dans votre entourage afin d’alerter d’autres personnes et les inciter à la prudence.
Découvrez notre guide des bonnes pratiques RGPD
4. WeTransfer a modifié ses CGU : doutes sur l’utilisation de l’IA
WeTransfer est une plateforme qui permet le transfert des fichiers. En juin, les conditions générales d'utilisation (CGU) ont été mises à jour, prenant effet le 8 août, mentionnant que lorsque l’utilisateur transmet des fichiers, il accepte que ses fichiers soient utilisés pour entraîner des modèles d’apprentissage automatique. Autrement dit, ces fichiers permettent d’enrichir l’IA (Intelligence Artificielle) mis au point par WeTransfer.
Cette modification des CGU ont suscité de nombreuses réactions notamment chez les créateurs et graphistes dû au fait qu’un simple envoi de fichiers devient un acte de cession de droits déguisé. Mi-juillet, l’entreprise a rectifié son article en expliquant notamment que les fichiers transférés ne sont pas utilisés pour entraîner des modèles d’IA. Selon l'entreprise, l’IA est utilisée uniquement pour détecter des contenus illicites ou illégaux, afin d’assurer la continuité du service.
FOCUS SUR LES DERNIERES CYBERATTAQUES PUBLIEES
Bouygues victime d’une cyberattaque touchant 6,4 millions de clients
Le 6 août dernier, Bouygues a révélé avoir été victime d’une cyberattaque d’une grande ampleur. Cette dernière a touché 6,4 millions de ses clients. Les données compromises incluent des informations personnelles (état civil), coordonnées personnelles et professionnelles, éléments contractuels et même des IBAN. Les mots de passe et les numéros de carte bancaire ne seraient, eux, pas concernés.
Les équipes techniques de Bouygues ont réagi rapidement pour contenir l’incident et renforcer la sécurité du Système d’information, les personnes concernées ont été notifiées individuellement. Toutefois, l’entreprise souligne le risque de fraude et alerte sur la possibilité d’usurpation par de faux conseillers par des tentatives de hameçonnage et d’arnaques.
Bouygues est devenu, en moins d’un an, le cinquième opérateur touché par une cyberattaque de cette ampleur, notamment après SFR, Free, Coriolis et Corsica Telecom.
Recherche de conservations ChatGPT privées visibles sur internet
Une récente publication sur le site Reddit a révélé que certaines conversations avec l’outil ChatGPT, pourtant considéré comme privées et partagées uniquement via un lien, étaient visibles sur Google. En effet, il était possible en utilisant une commande spécifique “site:chatgpt.com/share [mot-clé]“ et sans autorisation spécifique des personnes concernées, de parcourir un nombre élevé d’échanges privés, portant sur des questions, réponses, des données personnelles sensibles ou stratégiques. Cette possibilité met en exergue la nécessité d’encadrer l'utilisation de l’intelligence artificielle et d’accroître la vigilance face aux informations partagées avec elle.
La réglementation européenne sur l’intelligence artificielle (AI Act) prévoit des dispositions sur les modèles d’intelligence artificielle à usage général (ChatGPT, Gemini, Copilot…) et impose des obligations de transparence et de sécurité aux développeurs permettant aux utilisateurs de comprendre le fonctionnement de leurs systèmes.
France Travail : fuite de données de 340 000 demandeurs d’emploi
Une cyberattaque a touché France Travail et Cap Emploi et des informations personnelles ont été dérobées des demandeurs d’emploi actuellement inscrits, les personnes inscrites au cours des 20 dernières années et celles ayant un espace candidat sur le site.
Les données concernées sont le nom, prénom, numéro de sécurité sociale, date de naissance, identifiant France Travail, adresse mail et adresse postale ainsi que les numéros de téléphone. Les données bancaires ne sont pas concernées.
Une notification auprès de la CNIL a été faite et une plainte a été déposée.
6. Utilisation de téléphones personnes par la police espagnole : manquement à l’article 32 du RGPD
L’autorité espagnole de protection des données (AEPD) a ouvert une procédure à l’encontre du Commissariat Provincial de Malaga pour un manquement à l’obligation de sécurité des données.
Les agents utilisaient leurs téléphones personnels pour photographier des papiers d’identité lors d'enquêtes. Aucune mesure technique et organisationnelle n'avait été mise en place pour empêcher l’utilisation professionnelle de téléphones personnels des agents. Ainsi, une violation de l’article 32 du RGPD a été retenue par l’AEPD.
Le Commissariat a argué que l’usage était ponctuel et que les images étaient supprimées lorsqu’elles étaient ajoutées aux dossiers de l’enquête. Toutefois, l’AEPD considère que l'usage de téléphones personnels retire tout contrôle de la part du responsable de traitement sur les données. Le Commissariat doit mettre en œuvre dans un délai de 2 mois les mesures correctives pour empêcher l’utilisation professionnelle de téléphones personnels.
Il est important de mettre en place des outils sécurisés par l’organisation, afin d’avoir un contrôle sur la sécurité des données.
Notre accompagnement dédié aux risques numériques
Découvrez nos solutions :
Découvrez nos filiales spécialisées :
Oppida
Oppida
LSTI
LSTI
SixFoisSept
SixFoisSept
[Guide] Les bonnes
pratiques RGPD
Découvrez notre guide pratique pour vous accompagner dans la mise en place de votre conformité RGPD !